VPC 网络

这一课你将能做到

1. 设计一个跨两个 AZ 的 VPC，包含公有子网和私有子网，并能画出架构图
2. 配置路由表、Internet Gateway、NAT Gateway，让公有子网能上网、私有子网能通过 NAT 上网
3. 用安全组和网络 ACL 实现分层防护，并说出两者的区别

为什么要学

VPC 是 AWS 网络的「地基」。不懂 VPC，就不知道 EC2 怎么连外网、RDS 怎么被保护、服务之间怎么隔离。本站如果迁到 AWS，数据库必须放私有子网，Web 层放公有子网，这是最基本的安全架构。面试必问「公有子网和私有子网的区别」「NAT Gateway 的作用」。

人话：VPC 就是你在 AWS 里划的一块「内网」，像公司内网一样，有网段、有路由、有防火墙。公有子网是「临街商铺」，能直接开门迎客；私有子网是「后院仓库」，外人进不来，但仓库管理员可以通过专用通道（NAT）出去进货。

先建立图像

经典三层架构 VPC 设计：

VPC: 10.0.0.0/16
├── 公有子网 A: 10.0.1.0/24 (AZ-1a) ←── Internet Gateway
│   └── 负载均衡器 (ALB)
├── 公有子网 B: 10.0.2.0/24 (AZ-1b)
│   └── 负载均衡器 (ALB)
├── 私有子网 A: 10.0.11.0/24 (AZ-1a)
│   └── EC2 应用服务器 ×2
├── 私有子网 B: 10.0.12.0/24 (AZ-1b)
│   └── EC2 应用服务器 ×2
├── 数据库子网 A: 10.0.21.0/24 (AZ-1a)
│   └── RDS 主实例
└── 数据库子网 B: 10.0.22.0/24 (AZ-1b)
    └── RDS 备实例

关键组件对照：

组件	作用	本站场景
VPC	逻辑隔离的网络空间	整个站点的网络边界
公有子网	路由表指向 IGW，可直接上网	放 ALB、NAT Gateway
私有子网	无 IGW 路由，通过 NAT 上网	放 EC2 应用服务器
数据库子网	更严格的私有子网	放 RDS，只许应用层访问
IGW	VPC 通往互联网的门	公有子网必须配
NAT Gateway	私有子网出网的代理	让私有子网的 EC2 能 yum update
安全组	实例级防火墙（有状态）	控制 EC2/RDS 的端口
网络 ACL	子网级防火墙（无状态）	子网层面的额外防护

跟着做

步骤 1：创建 VPC

# 创建 VPC
aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications "ResourceType=vpc,Tags=[{Key=Name,Value=codenav-vpc}]"

# 记录返回的 VpcId，后续都用 vpc-xxxxxxxx 代替

步骤 2：创建子网（跨两个 AZ）

# 公有子网 A
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.1.0/24 --availability-zone ap-southeast-1a --tag-specifications "ResourceType=subnet,Tags=[{Key=Name,Value=public-1a}]"

# 公有子网 B
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.2.0/24 --availability-zone ap-southeast-1b --tag-specifications "ResourceType=subnet,Tags=[{Key=Name,Value=public-1b}]"

# 私有子网 A
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.11.0/24 --availability-zone ap-southeast-1a --tag-specifications "ResourceType=subnet,Tags=[{Key=Name,Value=private-1a}]"

# 私有子网 B
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.12.0/24 --availability-zone ap-southeast-1b --tag-specifications "ResourceType=subnet,Tags=[{Key=Name,Value=private-1b}]"

# 数据库子网 A/B（略，同上，用 10.0.21.0/24 和 10.0.22.0/24）